Sécuriser ses cryptos : les erreurs qui coûtent cher

Vos cryptos ne sont pas en sécurité. Vraiment pas.

Vous avez acheté du Bitcoin, de l'Ethereum, peut-être quelques altcoins. Ça dort sur Binance ou Coinbase, vous vérifiez le cours de temps en temps, et vous vous dites que tout va bien. Sauf que non. Chaque jour, des gens perdent leurs cryptos. Pas à cause d'un krach. À cause d'erreurs bêtes, évitables, qu'ils auraient pu corriger en dix minutes.

Voici les plus courantes. Et si vous vous reconnaissez dans l'une d'entre elles, agissez maintenant, pas demain.

Laisser ses cryptos sur un exchange, c'est jouer à la roulette

"Not your keys, not your coins." Cette phrase, vous l'avez sûrement déjà lue. Et elle est d'une vérité brutale.

Mt. Gox, 2014 : 850 000 bitcoins envolés. À l'époque, ça représentait 450 millions de dollars. Les utilisateurs n'ont rien pu faire. FTX, novembre 2022 : la plateforme de Sam Bankman-Fried s'effondre du jour au lendemain, 8 milliards de dollars de fonds clients disparus. Des gens qui avaient tout dessus. Celsius, même année : gel des retraits sans prévenir, faillite, et des mois de procédure pour récupérer des miettes.

Le point commun ? Dans les trois cas, les utilisateurs avaient confié leurs cryptos à un tiers. Quand l'exchange tombe, vos fonds tombent avec lui. Un exchange n'est pas une banque. Il n'y a pas de garantie des dépôts, pas de filet de sécurité. Si vous gardez plus que ce dont vous avez besoin pour trader activement, vous prenez un risque inutile.

La seed phrase, votre clé de voûte (et votre plus gros point faible)

Votre seed phrase, ces 12 ou 24 mots qui donnent accès à votre wallet, c'est littéralement la clé de tout. Quiconque la possède contrôle vos fonds. Pas de recours, pas de service client, pas de "mot de passe oublié".

Où la stocker ? Sur papier, dans un endroit sûr. Idéalement sur une plaque en métal (acier ou titane) qui résiste au feu et à l'eau. Certains la séparent en deux morceaux gardés à des endroits différents. C'est une bonne idée.

Où ne jamais la stocker ? Dans les notes de votre téléphone. En screenshot dans votre galerie photo. Sur Google Drive, iCloud, Dropbox. Dans un fichier texte sur votre bureau. Dans un email envoyé à vous-même. Ça paraît évident, mais c'est exactement ce que font la majorité des gens. Et c'est exactement comme ça qu'on se fait vider son wallet.

Le phishing, l'arnaque qui marche à tous les coups

Vous recevez un DM sur Twitter/X ou Telegram. "Support officiel Metamask", "Équipe Ledger", "Airdrop exclusif". On vous demande de connecter votre wallet sur un site, de "vérifier" votre seed phrase, ou de cliquer sur un lien pour récupérer des tokens gratuits.

C'est du phishing. Toujours.

Les sites de phishing sont parfois des copies pixel-perfect des vrais. L'URL change d'une lettre, parfois d'un caractère unicode invisible. En 2023, des milliers de wallets ont été vidés via de faux airdrops qui demandaient une "signature" apparemment inoffensive. Cette signature donnait en réalité l'autorisation de transférer tous les tokens du wallet.

Aucun support officiel ne vous contactera en premier par DM. Aucun projet sérieux ne vous demandera votre seed phrase. Si quelqu'un vous la demande, c'est un escroc. Point final.

L'adresse de destination, ce truc qu'on ne vérifie jamais assez

Envoyer des cryptos, c'est irréversible. Pas comme un virement bancaire qu'on peut contester. Une erreur d'adresse et vos fonds disparaissent dans le vide, sans aucun moyen de les récupérer.

Il existe des malwares qui remplacent l'adresse dans votre presse-papier au moment du copier-coller. Vous copiez l'adresse de votre Ledger, vous collez... et c'est l'adresse du pirate qui apparaît. Prenez l'habitude de vérifier les premiers et les derniers caractères de l'adresse après le collage. À chaque fois. Et faites un petit envoi test avant de transférer un gros montant. Oui, ça coûte quelques centimes de frais. C'est toujours moins cher que de perdre 10 000 euros.

Le hardware wallet, pas optionnel au-delà d'un certain montant

Si vous avez plus de quelques centaines d'euros en crypto, un hardware wallet n'est plus un luxe. C'est une nécessité.

Le Ledger Nano S Plus ou le Trezor Model One coûtent entre 60 et 80 euros. Le Trezor Safe 3 ou le Ledger Nano X, un peu plus. Dans tous les cas, c'est une fraction de ce que vous protégez. Ces appareils gardent vos clés privées hors ligne, dans une puce sécurisée. Même si votre ordinateur est infecté, personne ne peut signer une transaction sans avoir le boîtier physiquement en main et confirmer dessus.

Achetez-les uniquement sur le site officiel du fabricant. Jamais sur Amazon, jamais sur Leboncoin, jamais d'occasion. Un hardware wallet trafiqué, c'est un hardware wallet qui envoie vos fonds chez quelqu'un d'autre.

La 2FA, mais pas par SMS

Vous avez activé l'authentification à deux facteurs sur vos exchanges et vos comptes liés à la crypto ? Bien. C'est par SMS ? Mauvaise réponse.

Le SIM swapping, c'est quand un attaquant convainc votre opérateur de transférer votre numéro sur sa propre carte SIM. Ça prend parfois un simple appel avec quelques infos personnelles trouvées sur les réseaux sociaux. Une fois qu'il a votre numéro, il reçoit vos codes SMS, réinitialise vos mots de passe, et vide vos comptes.

Utilisez une app d'authentification comme Google Authenticator, Authy ou Aegis. Ou mieux encore, une clé physique comme la YubiKey. La 2FA par SMS, c'est mieux que rien, mais c'est le maillon faible de la chaîne.

Si c'est trop beau pour être vrai, c'est une arnaque

"Rendement garanti de 20% par mois." "Doublez vos Bitcoin en 24h." "Investissement sans risque avec retour assuré."

Si quelqu'un vous promet des rendements garantis en crypto, fuyez. Pas de question à se poser, pas de "mais peut-être que celui-là est sérieux". C'est un schéma de Ponzi, un rug pull, ou une arnaque pure et simple. Terra/Luna promettait 20% d'APY "stable" via Anchor Protocol. On a vu comment ça s'est terminé en mai 2022 : 40 milliards de dollars partis en fumée en quelques jours.

La crypto est un marché volatil. Personne ne peut vous garantir un rendement. Quiconque prétend le contraire veut votre argent, pas votre bien-être financier.

Agissez maintenant, pas après la prochaine catastrophe

Déplacez vos fonds d'exchange vers un wallet dont vous contrôlez les clés. Vérifiez où est stockée votre seed phrase et corrigez si nécessaire. Passez votre 2FA en app d'authentification. Ça prend une heure, peut-être deux. C'est le meilleur investissement que vous ferez cette année.